Điều kiện bảo vệ dữ liệu cá nhân của SEPTAVI

Điều 1: Phạm vi áp dụng và căn cứ

1.1 Điều kiện này quy định việc SEPTAVI thu thập, xử lý, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân khi Khách hàng và Người dùng được cấp dùng Phần mềm, trên mọi Ngành.

1.2 Căn cứ: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP và pháp luật liên quan.

1.3 Khi Điều kiện này và Điều khoản khác nhau về dữ liệu cá nhân, Điều kiện này được ưu tiên.

Điều 2: Giải thích từ ngữ

2.1 Dữ liệu cá nhân: thông tin gắn với một người cụ thể hoặc giúp xác định một người cụ thể, gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm theo pháp luật.

2.2 Chủ thể dữ liệu: người được dữ liệu cá nhân phản ánh, gồm Khách hàng, Người dùng được cấp và Người có dữ liệu.

2.3 Bên kiểm soát dữ liệu: bên quyết định mục đích và cách xử lý dữ liệu cá nhân.

2.4 Bên xử lý dữ liệu: bên xử lý dữ liệu cá nhân thay cho Bên kiểm soát dữ liệu, theo thỏa thuận với Bên kiểm soát dữ liệu.

2.5 Bên thứ ba: tổ chức, cá nhân ngoài SEPTAVI, Khách hàng và chủ thể dữ liệu, được phép xử lý dữ liệu theo Điều kiện này hoặc theo pháp luật.

2.6 Xử lý dữ liệu: các thao tác với dữ liệu cá nhân như thu thập, ghi, lưu trữ, sửa, sắp xếp, truy xuất, hiển thị, chia sẻ, chuyển, xóa, hủy.

Điều 3: Vai trò của SEPTAVI và của Khách hàng

3.1 Với dữ liệu tài khoản, kỹ thuật và lịch sử đồng ý của Khách hàng và Người dùng được cấp (Điều 5), SEPTAVI là Bên kiểm soát dữ liệu.

3.2 Với dữ liệu Khách hàng nhập về Người có dữ liệu (Điều 6), Khách hàng là Bên kiểm soát dữ liệu; SEPTAVI chỉ là Bên xử lý dữ liệu, xử lý theo thao tác của Khách hàng để cung cấp Dịch vụ.

3.3 Điều kiện này đồng thời là thỏa thuận xử lý dữ liệu giữa Khách hàng (Bên kiểm soát dữ liệu) và SEPTAVI (Bên xử lý dữ liệu) cho dữ liệu tại Khoản 3.2. Khi Khách hàng tích chọn đồng ý, thỏa thuận này có hiệu lực; hai bên không phải ký văn bản riêng.

3.4 Trong nhóm, Trưởng nhóm là Bên kiểm soát dữ liệu đối với dữ liệu của nhóm, kể cả dữ liệu của Người dùng được cấp do Trưởng nhóm tạo.

Điều 4: Nguyên tắc xử lý dữ liệu

4.1 SEPTAVI xử lý dữ liệu cá nhân hợp pháp, minh bạch; đúng mục đích đã thông báo; thu tối thiểu cần thiết; chính xác; có biện pháp bảo vệ; lưu trong thời hạn cần thiết; có trách nhiệm giải trình.

Điều 5: Dữ liệu SEPTAVI thu thập

5.1 Dữ liệu chung cho mọi Ngành:

5.2 SEPTAVI không thu số căn cước, số thẻ, số tài khoản ngân hàng, mật khẩu Google hay mã OTP ngân hàng. SEPTAVI chỉ dùng cookie cần cho đăng nhập, không dùng cookie quảng cáo.

Điều 6: Dữ liệu theo từng Ngành

6.1 Dữ liệu Khách hàng nhập khi dùng công cụ của từng Ngành (Khách hàng là Bên kiểm soát dữ liệu, Điều 3.2):

6.2 Bảng trên là các loại dữ liệu Phần mềm thiết kế ô nhập. Thông tin Khách hàng tự gõ vào ô ghi chú hay file tải lên do Khách hàng tự chịu trách nhiệm (Điều 11, Điều 17).

6.3 Ngành chưa mở bán thì chưa thu dữ liệu nào của Ngành đó.

Điều 7: Mục đích và cơ sở xử lý

7.1 Từng mục đích độc lập:

1. Cung cấp Dịch vụ: tạo và quản lý Tài khoản, tài khoản Người dùng được cấp, lưu dữ liệu, tính toán, xuất báo cáo, link chia sẻ và trang công khai theo yêu cầu, tính Hạn mức, gửi thông báo dịch vụ, bảo vệ an toàn hệ thống. Cơ sở: thực hiện hợp đồng với Khách hàng và sự đồng ý của chủ thể dữ liệu;
2. Thực hiện nghĩa vụ pháp luật: yêu cầu của cơ quan có thẩm quyền;
3. Hiện tin sản phẩm mới và ưu đãi trong mục thông báo của website. Cơ sở: sự đồng ý riêng của Khách hàng, rút lại bất kỳ lúc nào.

7.2 Việc đồng ý Điều khoản và Điều kiện này không được hiểu là đồng ý cho mục đích tại điểm c Khoản 7.1. SEPTAVI không dùng dữ liệu cho mục đích khác khi chưa có đồng ý riêng, trừ số liệu đã ẩn danh theo Khoản 14.4.

Điều 8: Cơ chế đồng ý

8.1 Sự đồng ý được thể hiện bằng hành động tích chọn: một ô cho Điều khoản, một ô cho Điều kiện này (cả hai bắt buộc để dùng Dịch vụ) và một ô riêng cho tin sản phẩm mới và ưu đãi (không bắt buộc). Không ô nào được tích sẵn.

8.2 Khách hàng rút lại đồng ý cho mục đích tùy chọn bằng yêu cầu theo Điều 13; việc rút lại không ảnh hưởng việc xử lý trước đó. Rút lại đồng ý với mục đích tại điểm a Khoản 7.1 nghĩa là SEPTAVI không thể tiếp tục cung cấp Dịch vụ (Điều khoản, Điều 8.1).

8.3 Người có dữ liệu để lại thông tin qua trang công khai của Khách hàng tích một ô đồng ý riêng, không tích sẵn, cho phép Khách hàng đó dùng thông tin để liên hệ hoặc xác nhận đặt chỗ. Sự đồng ý này dành cho Khách hàng (Bên kiểm soát dữ liệu), không dành cho SEPTAVI.

Điều 9: Nơi lưu trữ và bên xử lý dữ liệu

9.1 SEPTAVI thuê các nhà cung cấp sau để vận hành Dịch vụ. Họ chỉ xử lý dữ liệu theo chỉ dẫn của SEPTAVI cho mục đích tại Điều 7:

9.2 Các dịch vụ trên là hạ tầng đám mây quốc tế; dữ liệu được mã hóa khi truyền và khi lưu theo tiêu chuẩn quốc tế.

9.3 Thêm hoặc đổi nhà cung cấp có xử lý dữ liệu cá nhân, SEPTAVI cập nhật Điều này và tăng phiên bản (Điều 19).

Điều 10: Chuyển dữ liệu ra nước ngoài

10.1 Dữ liệu được lưu và xử lý tại các nơi ghi ở Điều 9: Singapore (Supabase, Vercel), Mỹ (Cloudinary – file và hình ảnh tải lên), hạ tầng toàn cầu của Google (đăng nhập bằng Google).

10.2 Việc đưa dữ liệu ra khỏi Việt Nam chỉ để lưu trữ và vận hành Dịch vụ, chỉ gồm dữ liệu cần thiết, và thực hiện theo thủ tục pháp luật quy định.

10.3 Khi tích chọn đồng ý, Khách hàng đồng ý việc chuyển dữ liệu theo Điều này, kể cả dữ liệu Khách hàng nhập về Người có dữ liệu.

Điều 11: Trách nhiệm của Khách hàng với dữ liệu mình nhập

11.1 Với tư cách Bên kiểm soát dữ liệu, Khách hàng tự quản lý, tự bảo mật và tự chịu trách nhiệm về dữ liệu cá nhân của Người có dữ liệu mà Khách hàng và Người dùng được cấp nhập vào Phần mềm, gồm:

1. Có cơ sở hợp pháp để xử lý, kể cả sự đồng ý của Người có dữ liệu khi pháp luật yêu cầu;
2. Thông báo cho Người có dữ liệu về việc xử lý theo pháp luật;
3. Tự trả lời yêu cầu xem, sửa, xóa, rút đồng ý của Người có dữ liệu, bằng các chức năng có sẵn trên Phần mềm;
4. Không nhập thông tin cấm tại Điều khoản, Điều 13;
5. Bảo mật tài khoản, mật khẩu, thiết bị, link chia sẻ và file đã tải về (Điều khoản, Điều 12);
6. Thông báo cơ quan có thẩm quyền và Người có dữ liệu khi có vi phạm do phía Khách hàng gây ra, theo pháp luật.

11.2 Khách hàng bồi hoàn cho SEPTAVI theo Điều khoản, Điều 19 khi vi phạm Điều này.

Điều 12: Nghĩa vụ của SEPTAVI khi xử lý theo thao tác của Khách hàng

12.1 Với dữ liệu tại Điều 3.2, SEPTAVI:

1. Chỉ xử lý theo thao tác của Khách hàng trên Phần mềm và để cung cấp Dịch vụ;
2. Không xem nội dung dữ liệu đó, kể cả khi hỗ trợ Khách hàng;
3. Áp dụng biện pháp bảo vệ tại Điều 14;
4. Chuyển cho Khách hàng yêu cầu của Người có dữ liệu mà SEPTAVI nhận được, để Khách hàng giải quyết;
5. Xóa dữ liệu khi Khách hàng xóa, khi Tài khoản hoặc nhóm bị xóa, theo Điều 16;
6. Chỉ cung cấp cho cơ quan có thẩm quyền khi có yêu cầu theo pháp luật.

12.2 SEPTAVI không chịu trách nhiệm về việc Khách hàng thu thập, sử dụng hay chia sẻ dữ liệu của Người có dữ liệu ngoài Phần mềm.

Điều 13: Quyền của chủ thể dữ liệu

13.1 Chủ thể dữ liệu có quyền: được biết về việc xử lý dữ liệu; đồng ý, không đồng ý, rút lại đồng ý; xem, chỉnh sửa; yêu cầu cung cấp bản sao, xóa, hạn chế xử lý; phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường; yêu cầu áp dụng biện pháp bảo vệ dữ liệu.

13.2 Cách thực hiện:

• Trên Phần mềm: xem, sửa dữ liệu ngay trong từng công cụ.
• Khách hàng: gửi email từ Gmail đăng nhập tới đầu mối tại Điều 20 để SEPTAVI xác nhận đúng chủ Tài khoản. SEPTAVI gửi kết quả về đúng Gmail đó, miễn phí. Yêu cầu rút đồng ý, hạn chế, phản đối xử lý được trả lời trong 02 ngày làm việc; yêu cầu cung cấp bản sao, chỉnh sửa trong 10 ngày; yêu cầu xóa trong 20 ngày; hoặc thời hạn ngắn hơn nếu pháp luật quy định.
• Người dùng được cấp: gửi yêu cầu cho Trưởng nhóm; dữ liệu tạo trong nhóm thuộc về nhóm, yêu cầu về dữ liệu đó do Trưởng nhóm gửi.
• Người có dữ liệu: gửi yêu cầu cho Khách hàng đã nhập dữ liệu của mình (Điều 11.1.c); nếu gửi tới SEPTAVI, SEPTAVI chuyển cho Khách hàng đó (Điều 12.1.d).

Điều 14: Bảo mật dữ liệu

14.1 SEPTAVI áp dụng các biện pháp kỹ thuật để bảo vệ dữ liệu:

1. Mọi kết nối được mã hóa (HTTPS);
2. Mỗi Khách hàng chỉ truy cập được dữ liệu của mình (hoặc của nhóm mình) qua giao diện của Phần mềm; SEPTAVI kiểm tra quyền truy cập ở cả máy chủ và cơ sở dữ liệu. Khách hàng và Người dùng được cấp không được truy cập máy chủ, cơ sở dữ liệu và trang quản trị của SEPTAVI;
3. Mật khẩu của Người dùng được cấp chỉ lưu dạng băm một chiều; giới hạn số lần đăng nhập sai và số thiết bị;
4. Người quản trị SEPTAVI chỉ xuất dữ liệu của một Khách hàng khi cần để hỗ trợ, xử lý vi phạm hoặc theo yêu cầu của cơ quan có thẩm quyền; file xuất không có nội dung dữ liệu cá nhân của Người có dữ liệu, chỉ có số đếm; mỗi lần xuất được ghi nhật ký;
5. Không sửa, không tiết lộ Dữ liệu Khách hàng, trừ khi khắc phục lỗi, theo yêu cầu của Khách hàng hoặc của cơ quan có thẩm quyền theo pháp luật;
6. Cơ sở dữ liệu được sao lưu trước mỗi lần thay đổi lớn của hệ thống.

14.2 Không hệ thống nào an toàn tuyệt đối. SEPTAVI không chịu trách nhiệm về thất thoát do Khách hàng hoặc Người dùng được cấp tự chia sẻ (ví dụ gửi link chia sẻ – ai có link đều xem được), để lộ mật khẩu, hoặc do tài khoản Google, thiết bị của họ bị xâm nhập.

14.3 SEPTAVI không dùng Dữ liệu Khách hàng để lập thống kê bán cho bên thứ ba và không mua bán dữ liệu cá nhân.

14.4 SEPTAVI được dùng số liệu đã ẩn danh, gộp chung (không xác định được Khách hàng nào) để cải tiến sản phẩm và thống kê nội bộ; không bán ra ngoài. Số liệu này không lấy từ dữ liệu về Người có dữ liệu do Khách hàng nhập.

Điều 15: Sự cố và thông báo vi phạm

15.1 Khi phát hiện vi phạm về bảo vệ dữ liệu cá nhân trên hệ thống của SEPTAVI, SEPTAVI xử lý ngay, thông báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) trong 72 giờ kể từ khi phát hiện theo quy định, và thông báo Khách hàng bị ảnh hưởng theo trình tự pháp luật quy định.

15.2 Vi phạm liên quan dữ liệu tại Điều 3.2: SEPTAVI thông báo cho Khách hàng là Bên kiểm soát dữ liệu để Khách hàng thực hiện nghĩa vụ của mình với Người có dữ liệu.

Điều 16: Lưu trữ và xóa dữ liệu

16.1 Thông tin tài khoản: đến khi Tài khoản bị xóa (Điều khoản, Điều 8.1, 9.1).

16.2 Dữ liệu trong công cụ: chừng nào Tài khoản hoặc nhóm còn. Bản Khách hàng xóa nằm trong mục Đã xóa tối đa 30 ngày rồi bị xóa hẳn. Tài khoản Người dùng được cấp bị xóa khi Trưởng nhóm xóa hoặc khi nhóm bị xóa.

16.3 Lịch sử đồng ý: lưu làm bằng chứng; khi Tài khoản bị xóa, được tách khỏi danh tính.

16.4 Nhật ký đăng nhập và truy cập: tối đa 12 tháng.

16.5 Hết thời hạn hoặc không còn cần thiết, SEPTAVI xóa hoặc ẩn danh dữ liệu, trừ khi pháp luật buộc lưu.

Điều 17: Dữ liệu cá nhân nhạy cảm và công nghệ tự động

17.1 Phần mềm không thiết kế ô nhập dữ liệu cá nhân nhạy cảm và SEPTAVI không yêu cầu loại dữ liệu này. Khách hàng không nhập dữ liệu nhạy cảm (Điều khoản, Điều 13); nhập thì Khách hàng tự chịu trách nhiệm.

17.2 Phần mềm hiện không dùng trí tuệ nhân tạo hay ra quyết định tự động đối với dữ liệu cá nhân. Khi dùng, SEPTAVI cập nhật Điều kiện này và tăng phiên bản.

Điều 18: Người dưới 18 tuổi

18.1 Khách hàng phải từ đủ 18 tuổi. SEPTAVI không cố ý thu thập dữ liệu của người dưới 18 tuổi làm Khách hàng; nếu phát hiện, SEPTAVI xóa Tài khoản và dữ liệu liên quan.

18.2 Dữ liệu của người dưới 18 tuổi do Khách hàng nhập (ví dụ con của cư dân, khách đi cùng) thì Khách hàng tự bảo đảm có sự đồng ý của cha mẹ hoặc người giám hộ khi pháp luật yêu cầu.

Điều 19: Sửa đổi

19.1 SEPTAVI có thể sửa đổi Điều kiện này. Bản mới đăng trên website kèm phiên bản và ngày hiệu lực; Khách hàng và Người dùng được cấp đồng ý lại một lần khi đăng nhập (Điều khoản, Điều 28.2).

Điều 20: Đầu mối liên hệ

20.1 Đầu mối liên hệ về dữ liệu cá nhân: email hotro@septavi.vn.

20.2 Tranh chấp về dữ liệu cá nhân giải quyết theo Điều khoản, Điều 15.3.